إدارة الرقع
الحفاظ على تحديث الأنظمة والبرامج بأحدث الرقع الأمنية.
يُعرَّف إدارة الرقع بنتيجة NIST CSF 2.0 الآتية: PR.PS-02 (Software is maintained, replaced, and removed commensurate with risk). جدول المطابقة مُطابَق عبر جدول مطابقة منشور في ISO 27001, CIS v8.1, PCI DSS, CMMC, 800-53 وNIS2. تحريري مُطابَق تحريريًا في SOC 2, Essential Eight, DORA وCyber Essentials. ذو صلة فضفاضة فقط في HIPAA. لا يوجد ربط في بياناتنا لا يوجد ربط في بياناتنا لـ GDPR وCPS 234.
| الإطار | المتطلب | العنوان | رابط | المصدر / السبب |
|---|---|---|---|---|
| NIST CSF 2.0 | PR.PS-02 | Software is maintained, replaced, and removed commensurate with risk | تعريف الموضوع | PR.PS-02 |
| ISO 27001 | A.8.8 | Management of technical vulnerabilities | جدول المطابقة | A.8.8: via NIST 800-53 map: SI-2 |
| CIS v8.1 | CIS 2.2CIS 7.3CIS 7.4CIS 12.1 | Ensure Authorized Software is Currently Supported; Perform Automated Operating System Patch Management; Perform Automated Application Patch Management… | جدول المطابقة | CIS 2.2: via PR.PS-02 CIS 7.3: Automated OS patch management; not in CIS's own crosswalk to CSF 2.0, which covers 49 of 153 safeguards. CIS 7.4: Automated application patch management; not in CIS's own crosswalk to CSF 2.0, which covers 49 of 153 safeguards. CIS 12.1: Editorial (CIS's published crosswalk covers 49 of 153 safeguards): keep network infrastructure up to date. |
| SOC 2 | CC7.1 | Detecting configuration changes and new vulnerabilities | تحريري | CC7.1: AICPA's TSC mappings are not openly licensed; ControlMapping editorial mapping (criterion summaries are ours, not AICPA text). |
| PCI DSS | 6.3.16.3.3 | Vulnerabilities identified and risk-ranked; Security patches installed promptly | جدول المطابقة | 6.3.1: via PR.PS-02 6.3.3: via PR.PS-02 |
| CMMC | SI.L2-3.14.1 | Flaw Remediation | جدول المطابقة | SI.L2-3.14.1: via 800-171r3 03.14.01 ↔ PR.PS-02 → SI-2; 800-171r2 Appendix D → SI-2 |
| 800-53 | SI-2 | Flaw Remediation | جدول المطابقة | SI-2: via PR.PS-02 |
| HIPAA | §164.312(c)§164.312(c)(2)§164.312(e)(2)(i) | غير مُطابَق مع هذا الموضوع | هذه المتطلبات تشترك فقط في نتائج CSF لهذا الموضوع (PR.PS-02) عبر جداول ربط منشورة: تستحق المراجعة، لكنها ليست ربطًا. | |
| GDPR | — | لا يوجد متطلب | لا يوجد ربط في بياناتنا | لا يوجد متطلب GDPR مُطابَق مع هذا الموضوع في بياناتنا. |
| NIS2 | 6.6 | Security patch management | جدول المطابقة | 6.6: via PR.PS-02 |
| Essential Eight | ISM-1876ISM-1691ISM-1693ISM-1877ISM-1695ISM-1704ISM-1501 | Patches, updates or other vendor mitigations for vulnerabilities in online services are applied within 48 hours of…; Patches, updates or other vendor mitigations for vulnerabilities in office productivity suites, web browsers and their extensions, email clients, PDF applications, and security products are applied within two weeks of release; Patches, updates or other vendor mitigations for vulnerabilities in applications other…… | تحريري | ASD assigns these ISM controls to the Essential Eight; ASD publishes no crosswalk to NIST or ISO, so linking them to topics is ControlMapping editorial. |
| DORA | Art.9(4)(f) | Protection and prevention | تحريري | Art.9(4)(f): Appropriate and comprehensive documented policies for patches and updates. |
| CPS 234 | — | لا يوجد متطلب | لا يوجد ربط في بياناتنا | لا يوجد متطلب CPS 234 مُطابَق مع هذا الموضوع في بياناتنا. |
| Cyber Essentials | CE 3 | Security Update Management | تحريري | CE 3: All software licensed and supported, automatic updates where possible, and critical or high-risk updates applied within 14 days. |
تعريف الموضوع نتائج CSF 2.0 التي تحدد هذا الموضوع · جدول المطابقة اختيار واحد على الأقل مدعوم بجدول مطابقة منشور · تحريري حكم ControlMapping، مع ذكر السبب · غير مربوط، يشترك فقط في نتائج CSF لهذا الموضوع · لا يوجد ربط في بياناتنا لا يوجد ربط في بياناتنا؛ غالباً عمل جديد، لكن راجع ملاحظات التغطية. المنهجية.
تُعرض معرّفات المتطلبات وعناوينها كما تنشرها كل جهة معيارية، باللغة الإنجليزية.
ربط خاطئ أو مفقود؟ أبلغ عنه
حول إدارة الرقع
إدارة الرقع هي العملية المنهجية لتحديد التحديثات الأمنية واختبارها ونشرها على أنظمة التشغيل والتطبيقات والبرامج الثابتة (Firmware) والبرامج الخارجية، بهدف معالجة الثغرات المعروفة. وتختلف المواعيد النهائية بحسب الإطار: يشترط PCI DSS تطبيق الرقع الأمنية الحرجة وعالية الخطورة خلال شهر من إصدارها (6.3.3)، وتحدد Essential Eight مواعيد ثابتة وفقاً لمستوى النضج، while معظم الأطر الأخرى تطلب تحديد جداول زمنية قائمة على المخاطر واختبار الرقع قبل نشرها في بيئة الإنتاج. وتساعد أدوات إدارة الرقع الآلية، مقترنةً بجرد دقيق للأصول، على ضمان التغطية الشاملة وتقليص الفترة الزمنية التي تكون فيها الأنظمة معرضة للاستغلال المعروف.